Umowa powierzenia przetwarzania danych

Wersja: 2026-09-15

Wzór do uzgodnienia przed dostępem do danych osobowych na koncie klienta.

1. Strony i zawarcie umowy

Zleceniodawca: [pełna firma / imię i nazwisko, adres, NIP lub numer rejestru, przedstawiciel i podstawa umocowania, e-mail]. Rola Zleceniodawcy: [administrator danych / podmiot przetwarzający działający na udokumentowane polecenie administratora — wybrać i wskazać upoważnienie].

Przetwarzający: Mariusz Małachowski, prowadzący działalność pod firmą Ecom Mariusz Małachowski, adres ul. Poleska 23/6, 15-476 Białystok, NIP 5432027712, kontakt operacyjny i do naruszeń: biuro@brandstyle.pl.

Umowa stanowi załącznik do zamówienia AdsRadar [numer i data]. Jest zawierana w formie pisemnej, w tym elektronicznej, w sposób pozwalający wykazać zgodę stron, treść i wersję. Umieszczenie wzoru na stronie, wysłanie formularza lub samo nadanie dostępu nie zastępuje uzgodnienia i zawarcia umowy z kompletnymi załącznikami.

2. Przedmiot, cel i czas

Zleceniodawca powierza przetwarzanie danych osobowych wyłącznie w celu przeprowadzenia audytu lub monitoringu wskazanych kont Google Ads, GA4 i Merchant Center oraz przygotowania i doręczenia raportów w uzgodnionym zakresie. Konta, okres analizy, odbiorcy raportów i zakres dostępu są określone w Załączniku A.

Operacje mogą obejmować dostęp i odczyt, ograniczone pobranie, porządkowanie, porównanie, analizę, przygotowanie raportu, jego bezpieczne przekazanie upoważnionemu odbiorcy oraz usunięcie lub zwrot. Nie obejmują zmieniania kampanii ani wykorzystania danych we własnych celach.

Powierzenie trwa przez okres realizacji właściwej usługi oraz niezbędny, uzgodniony czas zwrotu lub usunięcia danych. Dla audytu jednorazowego kończy się po jego wykonaniu i zakończeniu uzgodnionej obsługi uwag. Dane anonimowe nie podlegają tej umowie; sama pseudonimizacja nie wyłącza stosowania RODO.

3. Polecenia i role

Przetwarzający działa tylko na udokumentowane polecenie Zleceniodawcy, zawarte w umowie, zamówieniu lub korespondencji osób upoważnionych. Dotyczy to także przekazywania danych poza EOG. Gdy przetwarzanie wymaga prawa UE lub państwa członkowskiego, Przetwarzający informuje o obowiązku przed jego wykonaniem, chyba że prawo zabrania takiej informacji.

Przetwarzający niezwłocznie informuje, jeśli jego zdaniem polecenie narusza RODO lub inne przepisy ochrony danych, i wstrzymuje kwestionowaną czynność do wyjaśnienia w zakresie niezbędnym do uniknięcia naruszenia.

Jeżeli Zleceniodawca jest agencją działającą jako podmiot przetwarzający, zapewnia wymagane upoważnienie swojego administratora do dalszego powierzenia i przekazuje stosowne instrukcje. Niniejsza umowa nie daje agencji praw szerszych niż wynikające z jej umowy nadrzędnej. Odbiorcy raportu i udostępnienie white-label muszą mieścić się w tych upoważnieniach.

Dane kontaktowe stron służące obsłudze ich własnej umowy i rozliczeń mogą być przetwarzane przez każdą stronę we własnej roli administratora; nie stanowi to uprawnienia do samodzielnego wykorzystania powierzonych danych klientów.

4. Minimalizacja i poufność

Przetwarzający ogranicza odczyt i utrwalanie do danych niezbędnych do analizy. W pierwszej kolejności korzysta ze statystyk zagregowanych. Nie pobiera list odbiorców Customer Match, danych identyfikujących kupujących, danych płatniczych, surowych treści formularzy leadowych ani danych szczególnych kategorii, chyba że wymagałoby to osobnego, zgodnego z prawem rozszerzenia zakresu — poza tym wzorem.

Dostęp mają wyłącznie osoby upoważnione, zobowiązane do poufności lub objęte odpowiednim ustawowym obowiązkiem. Poufność trwa po ustaniu upoważnienia i zakończeniu współpracy.

Przetwarzający nie sprzedaje danych, nie wykorzystuje ich do własnego marketingu ani uczenia modeli AI. Przekazanie danych do narzędzia AI lub nowego systemu analitycznego nie jest dozwolone na podstawie samej ogólnej nazwy usługi.

5. Bezpieczeństwo

Przed rozpoczęciem przetwarzania Przetwarzający wdraża i utrzymuje środki odpowiednie do ryzyka zgodnie z art. 32 RODO. Konkretny zakres i potwierdzenie wdrożenia określa Załącznik B. Podpisanie umowy nie zastępuje rzeczywistego wdrożenia tych środków.

Środki podlegają regularnej ocenie, w szczególności po zmianie dostawcy, zakresu danych lub istotnym incydencie. Zmiana nie może obniżyć uzgodnionego poziomu ochrony bez uprzedniego wyjaśnienia i uzgodnienia ze Zleceniodawcą.

6. Dalsze powierzenie

Dalsze powierzenie wymaga uprzedniego pisemnego, w tym elektronicznego, upoważnienia Zleceniodawcy. Na dzień zawarcia dozwoleni dalsi przetwarzający muszą być imiennie wymienieni w Załączniku C wraz z zakresem i lokalizacją. Nieuzupełniony załącznik nie oznacza zgody na dowolnych dostawców.

Jeżeli strony udzielą ogólnego upoważnienia dla listy i jej zmian, Przetwarzający informuje e-mailem o planowanym dodaniu lub zastąpieniu dostawcy co najmniej 14 dni przed udostępnieniem mu danych. Informacja obejmuje podmiot, usługę, dane, państwa i podstawę transferu. Zleceniodawca może w tym czasie wnieść uzasadniony sprzeciw dotyczący ochrony danych.

Do wyjaśnienia sprzeciwu dane nie są przekazywane spornemu dostawcy. Strony uzgadniają alternatywę; gdy nie jest możliwa, Zleceniodawca może zakończyć objętą zmianą usługę przed przekazaniem danych, z rozliczeniem niewykonanej części.

Przetwarzający nakłada na dalszego przetwarzającego obowiązki ochrony danych co najmniej odpowiadające niniejszej umowie i odpowiada wobec Zleceniodawcy za ich wykonanie zgodnie z art. 28 ust. 4 RODO. Dokumentowanie łańcucha podpowierzenia obejmuje także dostawców infrastruktury działających poprzez głównego usługodawcę.

7. Pomoc przy prawach osób i obowiązkach administratora

Uwzględniając charakter przetwarzania, Przetwarzający pomaga w realizacji praw osób z rozdziału III RODO przez odpowiednie środki techniczne i organizacyjne. Żądanie dotyczące danych powierzonych przekazuje Zleceniodawcy bez zbędnej zwłoki, termin operacyjny: do 2 dni roboczych. Nie udziela samodzielnie merytorycznej odpowiedzi bez upoważnienia, chyba że wymaga tego prawo.

Pomaga w zabezpieczeniu danych, ocenie i zgłaszaniu naruszeń, ocenie skutków dla ochrony danych oraz uprzednich konsultacjach, stosownie do art. 32–36 RODO i dostępnych informacji. Ewentualne uzgodnienie kosztów szczególnej pomocy nie może uniemożliwiać wykonania obowiązków w terminie.

8. Naruszenia ochrony danych

Przetwarzający zawiadamia Zleceniodawcę o naruszeniu danych powierzonych bez zbędnej zwłoki od jego stwierdzenia. Umowny termin pierwszej informacji: nie później niż 24 godziny; nie czeka na zakończenie całego dochodzenia. Zgłoszenie trafia na adres alarmowy Zleceniodawcy wskazany w Załączniku A.

Pierwsza informacja zawiera znane okoliczności, charakter naruszenia, kategorie i przybliżoną liczbę osób oraz rekordów, możliwe konsekwencje, zastosowane lub planowane środki i kontakt do osoby prowadzącej sprawę. Brakujące informacje są przekazywane sukcesywnie. Przetwarzający zabezpiecza dowody, ogranicza skutki i współpracuje przy usuwaniu przyczyn.

O zgłoszeniu do organu i zawiadomieniu osób decyduje właściwy administrator, chyba że prawo nakłada odrębny obowiązek na Przetwarzającego. Termin 24 godzin jest zobowiązaniem operacyjnym stron, a nie ustawowym terminem zgłoszenia do UODO.

9. Informacje i audyt

Przetwarzający udostępnia informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO, umożliwia audyty i inspekcje Zleceniodawcy lub upoważnionego audytora oraz współpracuje przy nich.

Strony uzgadniają sposób, termin i poufność audytu, preferując w pierwszej kolejności dokumenty i zdalną weryfikację, jeśli są wystarczające. Takie uzgodnienie nie może wyłączyć inspekcji, utrudniać działania organu ani opóźniać pilnej kontroli po naruszeniu. Chroni się dane innych klientów i tajemnice niezwiązane z zakresem audytu.

10. Transfery poza EOG

Transfer lub zdalny dostęp z państwa trzeciego wymaga udokumentowanego polecenia, ujawnienia w Załączniku C oraz spełnienia warunków rozdziału V RODO. Strony ustalają konkretną podstawę, ocenę transferu i ewentualne środki uzupełniające przed przekazaniem danych.

Niniejszy wzór nie jest standardowymi klauzulami umownymi Komisji Europejskiej i sam nie stanowi podstawy transferu do państwa trzeciego. Nie zastępuje właściwych SCC ani oceny gwarancji danego dostawcy.

11. Zwrot i usunięcie

Po zakończeniu usługi Przetwarzający, według wyboru Zleceniodawcy, zwraca lub usuwa dane osobowe i ich kopie, chyba że prawo wymaga dalszego przechowania. Termin operacyjny dla systemów aktywnych: do 30 dni od zakończenia usługi lub wcześniejszego polecenia, chyba że strony uzgodnią krótszy termin.

Zwrot następuje w uzgodnionym czytelnym formacie i bezpiecznym kanałem. Do chwili usunięcia dane nie są używane do nowych analiz. Przetwarzający usuwa własne tokeny i dostęp do kopii, a klient otrzymuje instrukcję cofnięcia uprawnień w platformach źródłowych.

Cykl usuwania danych z kopii zapasowych musi zostać potwierdzony w Załączniku B dla rzeczywistych dostawców. Jeśli całkowite usunięcie pojedynczego rekordu z kopii nie jest technicznie możliwe, dane są odseparowane od zwykłego użycia, objęte ochroną do nadpisania i ponownie usuwane po ewentualnym odtworzeniu. Nie dopuszcza to bezterminowego przechowania.

Na żądanie Przetwarzający potwierdza zakończenie usuwania, a jeżeli zachowuje część danych z obowiązku prawnego — wskazuje zakres, podstawę i czas. Dane nie są zatrzymywane w całości tylko z powodu potencjalnych roszczeń.

12. Obowiązki Zleceniodawcy i zakończenie

Zleceniodawca ustala legalne cele, zapewnia podstawy przetwarzania i wymagane informacje dla osób, weryfikuje uprawnienia do kont oraz przekazuje prawidłowe instrukcje. W przypadku dalszego powierzenia zapewnia zgodność z umową nadrzędną.

W razie istotnego naruszenia umowy strony mogą wstrzymać zagrożone przetwarzanie i żądać usunięcia naruszenia. Gdy nie zostanie usunięte w odpowiednim terminie albo zgodność nie może zostać przywrócona, można zakończyć objętą nim usługę i przeprowadzić bezpieczny zwrot lub usunięcie danych.

W sprawach ochrony danych niniejsza umowa ma pierwszeństwo przed sprzecznymi postanowieniami umowy głównej, z zastrzeżeniem przepisów prawa i ewentualnych wiążących SCC. Obowiązki poufności, rozliczenia incydentów i usunięcia trwają tak długo, jak pozostają adekwatne.

Załącznik A. Zakres konkretnego zlecenia

• Umowa główna / pakiet / data startu / czas przetwarzania: [uzupełnić].

• Administrator źródłowy i rola agencji, jeśli dotyczy; podstawa upoważnienia do dalszego powierzenia: [uzupełnić].

• Identyfikatory kont Google Ads, usług GA4 i Merchant Center, okres analizy oraz dokładny zakres uprawnień: [uzupełnić].

• Kategorie osób: uprawnieni użytkownicy kont reklamowych i analitycznych; w zakresie przypadkowo lub niezbędnie ujawnionym w uzgodnionych danych — użytkownicy stron i odbiorcy reklam. Potwierdzić rzeczywisty zakres i wykluczyć zbędne dane jednostkowe.

• Rodzaje danych: identyfikatory kont i użytkowników, służbowe dane kontaktowe uprawnionych osób; ewentualne identyfikatory pseudonimowe lub treść wyszukiwanych fraz wyłącznie wtedy, gdy stanowią dane osobowe i są niezbędne do uzgodnionej analizy. Nie zakładać, że wszystkie frazy lub statystyki są anonimowe.

• Dane wyłączone: hasła, numery kart, listy Customer Match, treści formularzy leadowych, dane szczególnych kategorii i dane dotyczące wyroków. Przypadkowe ujawnienie: przerwać zbędny odczyt, zabezpieczyć i poinformować Zleceniodawcę.

• Osoby wydające instrukcje, dozwoleni odbiorcy raportów, e-mail do naruszeń oraz zastępcza droga kontaktu: [uzupełnić].

• Wybór po zakończeniu: [zwrot i usunięcie / usunięcie]. Termin i format: [uzupełnić].

Załącznik B. Środki do potwierdzenia przed dostępem

• Imienne konta, minimalne uprawnienia, MFA tam, gdzie dostępne; okresowy przegląd dostępów i niezwłoczne odebranie ich po zakończeniu współpracy.

• Szyfrowanie transmisji; ochrona tokenów poza kodem i publicznymi plikami; weryfikacja zabezpieczenia danych w spoczynku u wybranych dostawców.

• Oddzielenie danych klientów, kontrola odbiorcy e-maila i raportu, zakaz publicznych linków do raportów zawierających dane osobowe bez odpowiedniego zabezpieczenia.

• Aktualizowane urządzenia i oprogramowanie, ochrona dostępu do urządzeń, upoważnienia i poufność personelu.

• Rejestrowanie zdarzeń bezpieczeństwa i obsługa incydentów; ustalone osoby odpowiedzialne, kanał alarmowy i procedura odtworzenia.

• Potwierdzone kopie zapasowe, częstotliwość i testy odtworzenia oraz maksymalny termin usunięcia z kopii: [uzupełnić po sprawdzeniu dostawców].

• Polityka retencji, okresowy przegląd, udokumentowane usuwanie i procedura realizacji praw osób. Data weryfikacji środków i osoba odpowiedzialna: [uzupełnić].

Załącznik C. Dalsi przetwarzający i lokalizacje

Lista wymaga uzupełnienia i uzgodnienia przed przetwarzaniem danych klientów. Dla każdego podmiotu wpisać: pełną nazwę prawną, adres / kraj, usługę i rolę, kategorie danych, kraje przechowywania i dostępu, podstawę transferu, odnośnik do warunków powierzenia oraz datę upoważnienia.

W obecnej konfiguracji korzystamy z Sites (OpenAI, infrastruktura Cloudflare D1 i R2) do przechowywania zgłoszeń i prywatnych PDF, Resend (Plus Five Five, Inc.) do wysyłania powiadomień i raportów oraz Kylos do obsługi skrzynki pocztowej. W Załączniku C do konkretnego zamówienia wskazujemy właściwe podmioty i łańcuch podpowierzenia zgodnie z potwierdzonymi warunkami tych usług. Stripe Billing otrzymuje dane rozliczeniowe, bez raportów i danych kont reklamowych, dlatego nie jest na tej podstawie dalszym przetwarzającym dane reklamowe w tej umowie.

Google Ads, GA4 i Merchant Center są źródłowymi usługami wskazanymi przez klienta; ich konkretne role prawne i umowy należy ocenić oddzielnie. Sam odczyt przez API nie sprawia, że Google staje się nowym dalszym przetwarzającym AdsRadar. Google Fonts jest przepływem dotyczącym odwiedzającego stronę, a nie automatycznie odbiorcą danych z raportów.

Akceptacja Zleceniodawcy: [osoba, data, sposób]. Akceptacja Przetwarzającego: [osoba, data, sposób].

Kontakt: biuro@brandstyle.pl